Практическое руководство по конфиденциальности в испытательной лаборатории: применение пункта 4.2 ГОСТ ISO/IEC 17025-2019

Содержание

• Конфиденциальность как основа доверия
• Разработка положения о конфиденциальности
• Проверьте себя
• Работа с информацией от третьих лиц
• Управление доступом персонала
• Баланс между конфиденциальностью и раскрытием

Конфиденциальность как основа доверия

Конфиденциальность является фундаментальным требованием к деятельности испытательной лаборатории, обеспечивающим доверие заказчиков и заинтересованных лиц. Пункт 4.2 ГОСТ ISO/IEC 17025-2019 устанавливает требования к конфиденциальности, однако стандарт не содержит определения данного понятия.

Определение конфиденциальности приведено в ГОСТ Р ИСО 7498-2-99 в пункте 3.3.16: конфиденциальность – это свойство, не предоставляющее право на доступ к информации или не раскрывающее её неуполномоченным лицам, логическим объектам или процессам. Данное определение формирует основу для понимания требований к защите информации в деятельности лаборатории.

Для более глубокого понимания принципов конфиденциальности применяется ГОСТ Р 54296-2010 (перевод ISO/PAS 17002:2004), который содержит раздел «Конфиденциальность. Принципы и требования». Данный документ устанавливает, что для получения доступа к информации, необходимой для проведения эффективной деятельности по оценке соответствия, орган по оценке соответствия должен гарантировать, что конфиденциальная информация не будет раскрыта.

Все организации и отдельные лица имеют право на защиту любой предоставляемой ими информации, которая составляет их собственность. Обеспечение равновесия между требованиями, связанными с конфиденциальностью и раскрытием информации, влияет на доверие заинтересованных лиц и понимание значения осуществляемой деятельности по оценке соответствия. Лаборатория должна обеспечить баланс между защитой конфиденциальной информации заказчика и необходимостью раскрытия информации в случаях, предусмотренных законодательством.

Разработка положения о конфиденциальности

Пункт 4.2.1 ГОСТ ISO/IEC 17025-2019 устанавливает, что лаборатория должна на основе юридически значимых обязательств нести ответственность за управление всей информацией, поступившей извне или полученной в процессе выполнения лабораторной деятельности. Юридически значимыми обязательствами являются договоры или документы по обеспечению конфиденциальности, в которых определено, какая информация считается конфиденциальной, какая информация подлежит раскрытию и в каких случаях.

Положение о конфиденциальности может быть оформлено в виде:

• Отдельного документа «Положение о конфиденциальности» – комплексного документа, описывающего подход лаборатории к защите информации
• Декларации о конфиденциальности – заявления руководства о признании важности конфиденциальности
• Заявления о конфиденциальности – краткого документа, подписываемого персоналом
• Раздела в руководстве по качеству – интегрированного описания требований в основном документе системы менеджмента

Форма документа определяется лабораторией самостоятельно и фиксируется в документе системы менеджмента. Главное требование – обеспечение ознакомления всех лиц, имеющих доступ к конфиденциальной информации, с положениями о конфиденциальности.

В договоре с заказчиком должно быть прописано:

• Какая информация считается конфиденциальной
• Какая информация подлежит раскрытию
• В каких случаях информация может быть раскрыта
• Об информировании заказчика о размещении протоколов во ФГИС Росаккредитации
• Об уведомлении государственных органов в случаях, предусмотренных законодательством

Исключение составляет информация, которая становится общедоступной по решению заказчика либо по согласованию между лабораторией и заказчиком, например, с целью реагирования на жалобы. Вся иная информация рассматривается в качестве конфиденциальной.

Работа с информацией от третьих лиц

Пункт 4.2.3 ГОСТ ISO/IEC 17025-2019 устанавливает, что информация о заказчике, полученная не от самого заказчика (например, от лица, направившего жалобу, или регулирующих органов), должна быть конфиденциальной между заказчиком и лабораторией.

Сведения об источнике данной информации должны быть конфиденциальными для лаборатории и не должны передаваться заказчику без согласования с источником данной информации. Данный принцип обеспечивает защиту лиц, предоставляющих информацию о заказчике, и предотвращает возможные негативные последствия для них.

Практическое применение данного требования включает следующие ситуации:

• Поступление жалобы от третьего лица на деятельность заказчика – информация о заказчике остаётся конфиденциальной, сведения о заявителе не передаются заказчику
• Получение информации от регулирующих органов о нарушениях заказчика – информация обрабатывается с соблюдением конфиденциальности
• Получение сведений от других организаций о деятельности заказчика – обеспечивается защита источника информации

Во всех указанных случаях информация о заказчике остаётся конфиденциальной между заказчиком и лабораторией, а сведения об источнике информации не передаются заказчику без согласия источника. Лаборатория должна обеспечить защиту источника информации и соблюдение конфиденциальности полученных сведений.

При формулировании требований, касающихся раскрытия информации, необходимо определить, является ли информация конфиденциальной, если не указано однозначно, что она не является такой, или является ли вся информация доступной, если не указано однозначно, что она является конфиденциальной. Данный аспект имеет важное значение для обеспечения прав заказчика на защиту его информации.

Управление доступом персонала

Пункт 4.2.4 ГОСТ ISO/IEC 17025-2019 устанавливает, что персонал, включая любых членов комитетов, подрядчиков, персонал внешних органов или отдельных лиц, действующих от имени лаборатории, должен соблюдать конфиденциальность всей информации, полученной или созданной в ходе выполнения лабораторной деятельности, за исключением случаев, предусмотренных законодательством.

Лаборатория определяет круг лиц, которые ознакамливаются с положением о конфиденциальности и подписывают заявление о конфиденциальности для сохранения конфиденциальными тех сведений, которые согласованы с заказчиком. Данный круг лиц определяется в документе системы менеджмента или в ином документе лаборатории.

Круг лиц, обязанных соблюдать конфиденциальность, включает:

• Постоянный персонал лаборатории – все сотрудники, имеющие доступ к конфиденциальной информации
• Привлекаемый персонал – сотрудники IT-отдела, архива, HR-отдела, клининговой службы
• Члены комитетов – лица, участвующие в принятии решений по деятельности лаборатории
• Подрядчики – внешние организации, выполняющие работы от имени лаборатории
• Персонал внешних органов – сотрудники организаций, действующих от имени лаборатории
• Отдельные лица – физические лица, действующие от имени лаборатории

Лаборатория определяет, какие сведения и документы являются конфиденциальными, и обеспечивает ознакомление соответствующего персонала с положениями о конфиденциальности. Подписание заявления о конфиденциальности является доказательством ознакомления персонала с обязательствами по сохранению конфиденциальности.

Записи о подписании заявлений сохраняются в системе менеджмента и представляются при проведении аккредитации или аудита. Отсутствие подписи заявления о конфиденциальности является несоответствием требованиям пункта 4.2.4 ГОСТ ISO/IEC 17025-2019.

Баланс между конфиденциальностью и раскрытием

ГОСТ Р 54296-2010 устанавливает три принципа раскрытия информации, которые обеспечивают баланс между защитой конфиденциальной информации и необходимостью раскрытия:

• Открытость – орган по оценке соответствия раскрывает информацию о деятельности в области оценки соответствия любому пользователю. Данный принцип обеспечивает прозрачность деятельности лаборатории и доверие заинтересованных лиц
• Доступ к информации – любая имеющаяся информация по объекту оценки соответствия, который подвергался оценке, должна быть представлена органом по требованию лица или организации, заключивших договор на проведение деятельности по оценке соответствия. Заказчик имеет право получить полную информацию о проведённой оценке
• Спорные вопросы – любое лицо или организация могут высказать органу по оценке соответствия сомнения, касающиеся соответствия данного органа требованиям конфиденциальности и раскрытия информации. Данный принцип обеспечивает механизм обратной связи и контроля со стороны заинтересованных лиц

В случае если разрешено раскрытие информации, следует учитывать степень активности органа по оценке соответствия при раскрытии этой информации, включая любое обязательство добровольно информировать заинтересованные стороны об изменениях в статусе подтверждения соответствия.

Необходимо определить, следует ли информировать организацию или физическое лицо, для которых проводилась оценка объекта соответствия, о раскрытии данной информации. Данный аспект имеет важное значение для обеспечения прав заказчика на защиту его информации и поддержания доверия к деятельности лаборатории.

Практическое применение принципов раскрытия информации включает:

• Размещение протоколов во ФГИС Росаккредитации с предварительным информированием заказчика
• Предоставление информации заказчику по его требованию
• Уведомление заказчика о раскрытии информации третьим лицам
• Рассмотрение спорных вопросов, касающихся конфиденциальности

Менеджмент лаборатории по ГОСТ ISO/IEC 17025-2019. Интерактивный модуль

Курс ▸ 17 августа 2026 24 ч.

На интерактивном курсе вы глубоко изучите все разделы ГОСТ ISO/IEC 17025-2019: от требований к структуре и персоналу до управления документацией, рисками, внутренними аудитами и представлением результатов. Обучение построено на принципах активного запоминания: вы работаете с учебными карточками, строите схемы процессов, заполняете шаблоны и выполняете задания.

Получите готовые документы: новое Руководство по качеству, процедуры, формы журналов, приказы, примеры расчётов. Особое внимание - управлению несоответствиями, внутренним аудитам, анализу со стороны руководства и обеспечению достоверности результатов.

Курс подходит для менеджеров по качеству, руководителей и специалистов, готовящихся к аккредитации. По окончании - удостоверение о повышении квалификации. Все материалы можно сразу использовать в работе.

Уже скоро Подробнее